Politique de confidentialité

1. Qui traite vos données

La présente politique décrit la manière dont Skopira, société par actions simplifiée dont le siège social est situé 23 boulevard de Grenelle, 75015 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 132 067 422, traite les données à caractère personnel dans le cadre de sa plateforme de gestion et de publication de contenus sur les réseaux sociaux (le « Service »).

Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez écrire à rgpd@skopira.com.

Skopira n'a pas désigné de délégué à la protection des données : aucune des conditions rendant cette désignation obligatoire n'est réunie. Un référent interne est néanmoins identifié et joignable à l'adresse ci-dessus.

Articles 4, 13, 14 et 37 du Règlement (UE) 2016/679 (RGPD).

2. À qui s'adresse cette politique

Le Service est réservé aux professionnels : indépendants, très petites entreprises et petites entreprises. Cette politique s'adresse donc principalement à nos clients et aux personnes qui utilisent le Service pour le compte d'une entreprise, ainsi qu'aux prospects que nous contactons et aux visiteurs de notre site, notamment ceux qui s'inscrivent sur notre liste d'attente.

Elle ne se substitue pas à l'information que nos clients doivent eux-mêmes délivrer aux personnes dont ils traitent les données par l'intermédiaire du Service.

3. Nos deux rôles, et pourquoi cette distinction compte

Skopira intervient à deux titres différents, et la distinction détermine qui décide et qui répond de quoi.

Nous sommes responsables de traitement pour nos propres données

Il s'agit des données que nous traitons pour faire fonctionner le Service et notre activité : votre compte, votre abonnement, votre facturation, nos échanges avec vous, la sécurité de la plateforme. Nous décidons pourquoi et comment ces données sont traitées, et cette politique en rend compte.

Nous sommes sous-traitant pour les données qui transitent par vos comptes connectés

Lorsque vous rattachez vos comptes de réseaux sociaux, le Service manipule des données qui concernent des tiers : les personnes qui interagissent avec vos publications, celles qui figurent sur les photographies et vidéos que vous déposez. Sur ces données, c'est vous qui décidez ; nous n'intervenons que sur vos instructions et pour l'exécution du Service.

Ces traitements sont régis par un accord de sous-traitance conforme à l'article 28 du RGPD, annexé aux Conditions Générales d'Utilisation. Il précise nos obligations, nos sous-traitants et les mesures de sécurité applicables.

Articles 4.7, 4.8, 26 et 28 du RGPD.

4. Ce que nous traitons, pourquoi, et sur quel fondement

Le tableau ci-dessous récapitule les traitements dont Skopira est responsable.

Lorsque nous invoquons notre intérêt légitime, nous nous assurons qu'il ne porte pas une atteinte disproportionnée à vos droits. Vous pouvez vous opposer à ces traitements dans les conditions décrites à la section 11.

Article 6.1 a), b), c) et f) du RGPD.

5. Les contenus que vous déposez

Les photographies, vidéos et fichiers que vous importez peuvent comporter des images de personnes identifiables : vos collaborateurs, vos clients, des tiers. Nous les traitons uniquement pour exécuter le Service que vous nous demandez.

Nous ne procédons à aucun traitement biométrique. Le recadrage est effectué par vos soins, le redimensionnement est purement géométrique et les vignettes sont extraites à des instants fixes. Aucun dispositif de reconnaissance ou d'analyse de visages n'est mis en œuvre. Lorsque vous utilisez les fonctionnalités de retouche ou de mise en scène, votre photographie est analysée par un modèle d'intelligence artificielle afin d'en décrire le produit et la scène, sans identification des personnes.

Il vous appartient de disposer des autorisations nécessaires sur les contenus que vous déposez et publiez, notamment au titre du droit à l'image des personnes représentées, et d'informer ces personnes lorsque la loi vous l'impose.

Le contenu que vous créez, importez, modifiez, programmez ou publiez au moyen du Service demeure placé sous votre contrôle. Vous êtes responsable des contenus que vous choisissez de diffuser et des autorisations nécessaires à leur utilisation et à leur publication.

Le Service comporte également plusieurs zones de saisie libre permettant notamment de décrire votre activité, de communiquer des instructions ou d'interagir avec certaines fonctionnalités. Nous vous invitons à ne renseigner dans ces champs que les informations strictement nécessaires à votre utilisation du Service et à éviter d'y insérer des données sensibles ou des données personnelles de tiers lorsqu'elles ne sont pas nécessaires.

Le Service n'est pas conçu pour le traitement de données sensibles au sens de l'article 9 du RGPD — santé, opinions, convictions, orientation sexuelle, données biométriques ou judiciaires. Vous vous engagez à ne pas l'utiliser délibérément à cette fin. Lorsque de telles données apparaissent de manière incidente, il vous revient de disposer d'un fondement juridique approprié ; nous les traitons alors comme un simple relais technique, sans y accéder ni les exploiter. Vous ne devez pas y déposer de données de patients recueillies à l'occasion de soins, y compris des photographies : leur hébergement exige un hébergeur certifié pour les données de santé, et le Service n'est pas hébergé dans ce cadre.

Articles 9 et 28 du RGPD ; article 9 du Code civil (droit à l'image) ; article L.1111-8 du Code de la santé publique.

6. Intelligence artificielle

Le Service intègre des fonctionnalités de génération de contenu reposant sur des modèles d'intelligence artificielle fournis par des prestataires tiers. Les contenus proposés par ces fonctionnalités sont produits de manière automatisée et doivent être vérifiés avant publication.

Les conditions d'utilisation des fonctionnalités d'intelligence artificielle, les catégories de données susceptibles d'être transmises aux prestataires concernés, les usages autorisés ou interdits, nos engagements ainsi que vos responsabilités avant publication sont décrits plus en détail dans la Charte de l'intelligence artificielle, accessible à tout moment depuis le Service.

Ce qui est transmis

Sont transmis les instructions que vous saisissez et les éléments de votre identité de marque (nom d'entreprise, ville, secteur, coordonnées professionnelles, ton de voix, expressions signature, couleurs). Notre prestataire de génération de texte est Anthropic, établi aux États-Unis.

Lorsque vous utilisez les fonctionnalités de retouche ou de génération d'images, vos photographies sont également transmises : à Anthropic, qui en analyse le contenu pour proposer une mise en scène, et à OpenAI, établi aux États-Unis, qui produit l'image, par l'intermédiaire de la plateforme de Cloudflare.

À mesure que la génération de vidéos sera déployée, vos fichiers seront transmis au prestataire concerné (fal.ai, établi aux États-Unis), de même que, le cas échéant, vos publications antérieures afin d'affiner les propositions.

Nos engagements

• Vos contenus, vos instructions et les résultats produits ne sont jamais réutilisés par Skopira pour son propre compte. Seules des données agrégées et anonymisées peuvent servir à des fins statistiques.
• Aucun prestataire d'intelligence artificielle n'est mis en production sans engagement contractuel de non-entraînement sur les données transmises, et sans durée de conservation bornée et documentée.
• Nous ne recourons pas à des prestataires d'intelligence artificielle pour le traitement de contenus clients lorsqu'un transfert devrait être réalisé vers un pays ne bénéficiant pas d'une décision d'adéquation ou de garanties appropriées au sens du RGPD.
• Nous conservons la maîtrise du routage : un prestataire ne présentant pas ces garanties peut être cantonné à des traitements ne comportant aucun contenu client.

Notre passerelle technique vers les services d'intelligence artificielle (Cloudflare) ne conserve que des données techniques sur vos opérations (modèle utilisé, volume, coût, statut), aux seules fins de suivi technique et de sécurité. Elle ne conserve ni le contenu de vos instructions ni vos fichiers.

Nous tenons par ailleurs un historique de vos opérations d'intelligence artificielle — nature, volume consommé, date et statut —, sans leur contenu, afin de décompter votre quota mensuel.

Articles 13, 28 et 44 et suivants du RGPD ; Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle.

7. Vos comptes de réseaux sociaux

Lorsque vous rattachez un compte, nous demandons uniquement les autorisations nécessaires au fonctionnement du Service : lister vos pages, publier en votre nom, mettre à jour à votre demande les informations de votre page, et accéder aux indicateurs de performance de vos publications.

Nous conservons les jetons d'accès délivrés par les plateformes, sous forme chiffrée, ainsi que les identifiants techniques et les noms de vos comptes et de vos pages et, pour votre compte Google, son nom, son adresse e-mail et sa photo de profil. La déconnexion d'un compte entraîne la suppression immédiate de ces éléments.

Pour afficher dans le Service la photo de profil de vos comptes Facebook et Instagram et les images de vos publications Instagram et Facebook, votre navigateur les charge directement depuis les serveurs de Meta. Meta reçoit à cette occasion votre adresse IP et des informations techniques sur votre navigateur, qu'il traite selon sa propre politique de confidentialité.

Ce que nous ne faisons pas

• Nous n'accédons pas à vos messages privés et ne demandons aucune autorisation de messagerie.
• Nous ne récupérons ni ne stockons la liste de vos abonnés ou de vos contacts.
• Nous ne stockons pas le contenu des commentaires ni les avis publiés sur vos pages ; ces éléments vous sont affichés dans le Service, sans être conservés au-delà de cet affichage.
• Nous ne collectons aucune donnée nominative sur votre audience : les statistiques que nous traitons sont exclusivement des volumes agrégés.

Si de nouvelles fonctionnalités devaient élargir ce périmètre — notamment la réponse aux commentaires depuis le Service — la présente politique serait mise à jour et vous en seriez informé avant leur activation.

Données reçues des services de Google

Lorsque vous rattachez votre fiche d'établissement Google, Skopira accède, avec votre autorisation, à vos informations de profil Google (nom et adresse e-mail) et aux données de votre fiche nécessaires à la publication et aux statistiques. Ces données servent uniquement à vous fournir ces fonctionnalités.

L'utilisation et le transfert à toute autre application des informations reçues des API de Google respectent la politique relative aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use) : developers.google.com/terms/api-services-user-data-policy.

Skopira's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

En particulier, ces données ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle. Elles ne sont transmises à des tiers que lorsque c'est nécessaire à la fourniture du Service ou exigé par la loi, et ne sont consultées par une personne qu'avec votre accord, pour des raisons de sécurité ou pour respecter une obligation légale.

8. Qui accède à vos données

Au sein de Skopira, l'accès aux données de production est strictement limité aux personnes qui en ont besoin, sur des comptes nominatifs et de manière tracée.

Nous recourons par ailleurs à des prestataires techniques agissant sur nos instructions, énumérés ci-dessous. La liste à jour est également disponible sur simple demande.

Notre prestataire de paiement, Stripe Payments Europe, Limited, établi en Irlande, traite en outre certaines de vos données en qualité de responsable de traitement autonome, notamment pour prévenir la fraude et respecter ses obligations légales, dont la lutte contre le blanchiment. Ces traitements relèvent de sa propre politique de confidentialité.

Vos données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi nous y oblige.

Article 28 du RGPD.

9. Transferts en dehors de l'Union européenne

Notre base de données est hébergée dans l'Union européenne. Certains de nos prestataires sont toutefois établis aux États-Unis ou y relèvent d'une société mère américaine : vos données peuvent donc être transférées hors de l'Union européenne.

Lorsque de tels transferts ont lieu, ils sont encadrés par un mécanisme reconnu par la réglementation applicable :

• une décision d'adéquation de la Commission européenne, notamment le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework ou « DPF »), lorsque le prestataire concerné y est certifié ;
• à défaut, les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures techniques et organisationnelles appropriées.

Le mécanisme applicable à chaque prestataire figure dans notre liste des sous-traitants. Nous complétons ces garanties par des mesures techniques : chiffrement des flux, chiffrement au repos et limitation des données transmises au strict nécessaire.

Articles 44 à 49 du RGPD ; décision d'exécution (UE) 2021/914 ; décision d'adéquation du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis.

10. Combien de temps nous conservons vos données

À l'expiration de ces durées, les données sont supprimées. Les sauvegardes suivent leur propre cycle d'expiration : une donnée supprimée en cesse de figurer à l'issue de la fenêtre de rétention applicable.

Article 5.1 e) du RGPD ; article L.123-22 du Code de commerce.

11. Vos droits

Conformément à la réglementation applicable en matière de protection des données personnelles, vous disposez des droits suivants sur vos données :

• Accès — droit d'accéder aux données personnelles vous concernant et d'en obtenir communication dans un format compréhensible ;
• Rectification — droit de rectifier ou de mettre à jour des données inexactes ou incomplètes ;
• Effacement — droit à l'effacement de vos données, sous réserve des données que nous sommes tenus de conserver en vertu d'une obligation légale ou pour la constatation, l'exercice ou la défense de droits en justice ;
• Limitation — droit de demander le gel d'un traitement le temps d'une vérification ;
• Portabilité — droit de recevoir, dans un format structuré et lisible par machine, les données que vous nous avez fournies, lorsque le traitement est fondé sur votre consentement ou sur l'exécution d'un contrat ;
• Retrait du consentement — droit de retirer à tout moment votre consentement lorsque le traitement repose sur celui-ci, sans que ce retrait affecte la licéité des traitements réalisés auparavant ;
• Opposition — droit de vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime, ainsi qu'à tout moment aux traitements réalisés à des fins de prospection commerciale ;
• Directives post mortem — droit de définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Pour exercer ces droits, écrivez à rgpd@skopira.com. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, auquel cas nous vous en informons. Nous pouvons vous demander un élément permettant de vérifier votre identité, uniquement si un doute raisonnable existe ; cet élément est supprimé aussitôt après vérification.

Vous pouvez également obtenir une copie de vos données — au format CSV, et vos photos et vidéos telles que conservées par le Service — sur simple demande à l'adresse ci-dessus.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur son site.

Supprimer vos données

Déconnecter un compte de réseau social : depuis Skopira, la déconnexion d'un compte Facebook, Instagram ou de votre fiche d'établissement Google supprime immédiatement les accès que nous détenions pour ce compte.

Retirer l'accès depuis Facebook ou Instagram : vous pouvez aussi retirer à tout moment l'accès de Skopira depuis les paramètres de votre compte Facebook ou Instagram, dans la rubrique consacrée aux applications et intégrations.

Supprimer votre compte et vos données : depuis l'application, page « Mon compte », rubrique « Supprimer mon compte ». Votre compte est supprimé immédiatement, avec vos contenus, vos fichiers et les accès à vos comptes rattachés. Vous pouvez aussi nous écrire à rgpd@skopira.com depuis l'adresse associée à votre compte : nous procédons alors à la suppression dans un délai d'un mois au plus, et vous la confirmons par écrit. Nous vous proposons au préalable de récupérer vos données.

Ce que nous conservons : seules sont conservées, à l'écart du Service, les données que la loi nous impose de garder : vos factures pendant dix ans et la preuve de votre acceptation de nos conditions pendant cinq ans. Les sauvegardes suivent leur propre cycle d'expiration.

Articles 12 à 22 du RGPD ; article 85 de la loi n° 78-17 du 6 janvier 1978 modifiée.

12. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment :

• le chiffrement des communications sur l'ensemble du Service ;
• le chiffrement des données au repos, et un chiffrement supplémentaire des jetons de vos comptes rattachés ;
• le hachage des mots de passe, associé à une politique de complexité imposée ;
• la limitation des accès internes aux données de production ;
• des dispositifs de limitation de débit et de protection contre les tentatives d'intrusion ;
• le cloisonnement des environnements : aucune donnée réelle n'est utilisée en développement ou en test ;
• des sauvegardes permettant la restauration des données.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous en informons la Commission nationale de l'informatique et des libertés dans les meilleurs délais et au plus tard dans les soixante-douze heures, et vous en informons lorsque le risque est élevé.

Articles 32, 33 et 34 du RGPD.

13. Cookies

Le Service n'utilise que deux cookies, strictement nécessaires à son fonctionnement : le maintien de votre session authentifiée et son renouvellement. Ces cookies sont exemptés de consentement préalable ; aucun bandeau ne vous est donc imposé.

Nous ne déposons aucun cookie publicitaire et n'utilisons aucun outil de suivi à des fins de profilage. Le détail des cookies utilisés figure dans notre politique cookies.

Le paiement s'effectue sur les pages de notre prestataire, vers lesquelles vous êtes redirigé : les cookies qu'il y dépose relèvent de sa propre politique. Notre prestataire de sécurité réseau peut en outre déposer des cookies strictement nécessaires à la protection contre les robots, décrits dans notre politique cookies.

Article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée ; lignes directrices de la CNIL relatives aux cookies et autres traceurs.

14. Modification de la présente politique

Nous pouvons faire évoluer cette politique, notamment pour tenir compte de nouvelles fonctionnalités ou d'évolutions réglementaires. Toute modification substantielle vous est signalée par un moyen approprié avant son entrée en vigueur. La date de dernière mise à jour figure ci-dessous.